Finanzdaten gehören zu den sensibelsten Informationen eines Unternehmens. fynsight schützt sie auf vier Ebenen: EU-Hosting in Frankfurt am Main, durchgängige Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffsrechte je Funktion sowie Audit-Logs für MCP-Zugriffe, Korrekturbuchungen und Freigaben. Dieser Beitrag beschreibt das Sicherheits- und Compliance-Konzept der Plattform. Verbindlich geregelt ist es im Vertrag zur Auftragsverarbeitung (AVV).
Hosting und Datenstandort
fynsight verarbeitet alle Kunden- und Finanzdaten in Rechenzentren innerhalb der Europäischen Union, konkret in Frankfurt am Main. Damit unterliegt die Verarbeitung vollständig der Datenschutz-Grundverordnung (DSGVO) sowie den deutschen Datenschutzgesetzen. Die Finanzdaten verlassen die EU im Rahmen der Standardverarbeitung nicht; die wenigen Hilfsdienste (etwa für Zahlungsabwicklung und E-Mail-Versand) sind in der Datenschutzerklärung mit ihren Standorten aufgeführt.
fynsight betreibt keine eigenen Server. Die Rechenzentren der Hosting-Dienstleister sind nach ISO/IEC 27001 zertifiziert bzw. nach SOC 2 geprüft und physisch zutrittsgeschützt. Prüfberichte der Dienstleister stellen wir auf Anfrage bereit.
Verschlüsselung
Alle Datenübertragungen zwischen Browser, API, MCP-Server und Backend laufen ausschließlich über TLS. In der Datenbank werden die Daten mit AES-256 verschlüsselt gespeichert; diese Verschlüsselung im Ruhezustand stellt der Hosting-Anbieter bereit.
Rollenbasierte Zugriffsrechte (RBAC)
fynsight setzt konsequent auf Role-Based Access Control. Jeder Nutzer hat in jeder Organisation eine Rolle, etwa Admin, Editor oder Leser. Die Rechte sind je Funktion festgelegt und werden an drei Stellen durchgesetzt: in der Datenbank (Row Level Security), in den Backend-Funktionen und im MCP-Server.
- Organisationsebene: Jede Gesellschaft, auch jede Tochter einer Holding, ist ein eigener Mandant mit eigener Mitgliedschaft
- Funktionsebene: z. B. lesen, bearbeiten, Korrekturen buchen oder einen Bericht freigeben
- API- und MCP-Ebene: persönliche, widerrufbare Schlüssel bzw. OAuth; Schlüssel erben die Rechte der ausstellenden Person
- Eingeschränkte API-Schlüssel: liefern nur Daten ausgewählter Kostenstellen oder Konten
Wer eine Organisation verlässt, verliert dort sofort den Zugriff; die API-Schlüssel der Person werden für diese Organisation deaktiviert.
API- und MCP-Audit-Log
Jede Anfrage über den Model-Context-Protocol-Server (MCP) wird im Audit-Log festgehalten. Erfasst werden:
- Zeitpunkt der Anfrage
- Nutzer und E-Mail-Adresse
- Aufgerufenes MCP-Werkzeug und seine Parameter
- Verwendeter Schlüssel (gekürzt) bzw. Anmeldung per OAuth
Administratoren sehen das Protokoll in den Einstellungen unter API-Logs. Zusätzlich werden manuelle Korrekturbuchungen und Freigaben mit Nutzer, Zeitpunkt und Aktion protokolliert, Datei-Importe mit einem Import-Bericht dokumentiert und Aufrufe der REST-API in Server-Protokollen erfasst. Protokolle enthalten keine Passwörter, Zugangs-Token oder Links zum Zurücksetzen von Passwörtern.
Umgang mit KI-Anfragen
fynsight nutzt KI-Modelle ausschließlich on-demand: Daten werden nur dann an ein Sprachmodell übergeben, wenn der Nutzer aktiv eine Auswertung oder Analyse anstößt. Die Verarbeitung läuft über Azure OpenAI von Microsoft in EU-Rechenzentren (Ressource in Frankfurt, Datenzone EU); Stammdaten wie der Firmenname werden nicht mitgeschickt, die Inhalte gehen nicht an OpenAI und werden nicht zum Training von Modellen verwendet. Das ist vertraglich abgesichert. Bei der Nutzung über Claude.ai (MCP) regelt der eigene Vertrag mit Anthropic, was Claude mit den abgerufenen Daten tut.
Datenexport und Löschung
Während der Vertragslaufzeit können Sie Ihre Daten jederzeit über Download und API abrufen. Nach Vertragsende werden die Kundendaten innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im regulären Zyklus überschrieben, spätestens 30 Tage nach der Löschung im Produktivsystem. Auf Wunsch bestätigen wir die Löschung in Textform.
Häufig gestellte Fragen
Wo werden meine Finanzdaten bei fynsight gespeichert?
Ihre Kunden- und Finanzdaten werden in Rechenzentren in Frankfurt am Main verarbeitet und gespeichert und unterliegen vollständig der DSGVO. fynsight betreibt keine eigenen Server; die Rechenzentren der Hosting-Dienstleister sind nach ISO/IEC 27001 zertifiziert bzw. nach SOC 2 geprüft.
Werden meine Daten zum Training von KI-Modellen verwendet?
Nein. fynsight nutzt keine Kundendaten für das Training von KI-Modellen. Anfragen an Sprachmodelle erfolgen nur bei aktiver Nutzung über Azure OpenAI von Microsoft in EU-Rechenzentren, zustandslos und ohne Weitergabe an den Modellanbieter OpenAI. Stammdaten wie der Firmenname werden nicht mitgeschickt; Buchungstexte können aber Namen von Geschäftspartnern enthalten.
Wie funktioniert die rollenbasierte Zugriffskontrolle (RBAC)?
Jeder Nutzer hat in jeder Organisation eine Rolle, etwa Admin, Editor oder Leser. Die Rechte sind je Funktion festgelegt, zum Beispiel lesen, bearbeiten oder einen Bericht freigeben, und werden in der Datenbank, in den Backend-Funktionen und im MCP-Server durchgesetzt. API-Schlüssel erben die Rechte der Person, die sie ausgestellt hat.
Werden API- und MCP-Zugriffe protokolliert?
Ja. Jede Anfrage über den MCP-Server wird mit Zeitpunkt, Nutzer, aufgerufenem Werkzeug und Parametern im Audit-Log festgehalten, das Administratoren in den Einstellungen einsehen. Aufrufe der REST-API werden in Server-Protokollen erfasst. Protokolle enthalten keine Passwörter oder Zugangs-Token.
Welche Verschlüsselung kommt zum Einsatz?
Daten werden ausschließlich über TLS übertragen und in der Datenbank mit AES-256 verschlüsselt gespeichert. Die Verschlüsselung im Ruhezustand stellt der Hosting-Anbieter bereit.
Was passiert mit meinen Daten, wenn ich den Vertrag beende?
Während der Vertragslaufzeit können Sie Ihre Daten jederzeit über Download und API abrufen. Nach Vertragsende werden die Kundendaten innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im regulären Zyklus überschrieben, spätestens 30 Tage nach der Löschung im Produktivsystem.